OAuth зөвшөөрөл фишинг хийх, гуравдагч талын хортой програмын зөвшөөрлийг хүчингүй болгох¶

Та нууц үгээ 24 тэмдэгтээс бүрдэх санамсаргүй мөр болгон өөрчилж, хоёр хүчин зүйлийн баталгаажуулалтыг идэвхжүүлсний дараа халдлага үйлдэгч таны хувийн имэйлийг идэвхтэй уншиж, таны клоуд баримтуудыг татаж авч, ирсэн имэйлийг чимээгүй дамжуулах дүрэм үүсгэж, эсвэл таны акаунтаас луйврын холбоосыг нийтэлж байна гэж төсөөлөөд үз дээ.2FA / Passkeys). Халдагчид таны шинэ нууц үгийг мэдэхгүйгээр, эсвэл ганц 2FA сануулгыг өдөөхгүйгээр Google Workspace, Microsoft 365, GitHub, Slack, Discord бүртгэлд яаж байсаар байна вэ? Учир нь та OAuth 2.0 Зөвшөөрлийн фишинг (мөн Хууль бус зөвшөөрөл олгох эсвэл Төхөөрөмжийн код фишинг гэгддэг) хохирогч болсон. Халдагчид таныг хууран мэхлэхийн оронд нууц үгээ хуурамч хуудас руу оруулахын оронд жинхэнэ нууц үгийн холбоосыг илгээсэн. accounts.google.com эсвэл login.microsoftonline.com Апп нэрлэсэн эсэхийг асуух зөвшөөрлийн дэлгэц "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," эсвэл "Mail Backup Assistant" "Gmail-с өөрийн бүх имэйлийг унших, бичих, илгээх, бүрмөсөн устгах" эсвэл "Хандах эрхтэй бүх файлдаа бүрэн хандах эрхтэй" зөвшөөрөлтэй байж болно.

Таны дарсан мөч Allow эсвэл Accept жинхэнэ Microsoft эсвэл Google-ийн харилцах цонхонд таниулах үйлчилгээ үзүүлэгч халдагчийн серверт урт хугацааны криптографыг олгосон OAuth Refresh Token (offline_access). Учир нь OAuth 2.0 API токенууд нь арын REST/Graph API-уудын эсрэг шууд баталгаажуулдаг.graph.microsoft.com эсвэл gmail.googleapis.com) таны вэб сессээс бүрэн хамааралгүйгээр нууц үгээ солих эсвэл 2FA нэмэх нь гуравдагч талын хортой програмыг 100 хувь идэвхтэй болгодог. Халдагчийг бүрмөсөн түгжихийн тулд та гуравдагч талын програмын зөвшөөрлийг гараар хүчингүй болгож, бүх гаргасан OAuth сэргээх болон хандалтын токенуудыг устгаж, API хандалттай байхад нь үүсгэсэн арын хаалгануудыг цэвэрлэх ёстой.

Үүнийг одоо хий¶

1. ** Нууц үгээ өөрчилснөөр яагаад хакерыг зогсоож чадаагүйг шууд ойлгоорой: та үүнийг хүчингүй болгох ёстой Third-Party App / OAuth Consent Grant Таны бүртгэлийн аюулгүй байдлын портал дотор.** Та дарахад Allow OAuth дэлгэц дээр та байнгын машин хоорондын API гэрээг (Service Principal / OAuth App Token). Яг одоо өөрийн үйлчилгээ үзүүлэгчийн Гуравдагч талын програм, үйлчилгээ хуудас руу шууд очно уу (myaccount.google.com/connections Google-ийн хувьд, myapps.microsoft.com эсвэл account.live.com/consent/Manage Microsoft-ын хувьд, github.com/settings/applications GitHub-д зориулсан) болон таны 100 хувь таньдаггүй, итгэдэггүй аппликешн бүр дээр Хандалтыг устгах / Хүчингүй болгох дээр дарна уу.
2. Хэрэв та 8 эсвэл 9 тэмдэгттэй үсэг, тоон код бичсэн бол microsoft.com/devicelogin, google.com/device, эсвэл github.com/login/device фишинг дуудлага эсвэл чат хийх үед хоёуланг нь цуцал Active Device Sessions БА OAuth App Grants нэн даруй. Төхөөрөмжийн кодын урсгалын фишинг халдлагад (RFC 8628), халдагчид компьютер дээрээ ухаалаг ТВ/CLI хослуулах код үүсгэж, таныг энэ кодыг жинхэнэ утсан дээр бичих гэж хуурдаг. microsoft.com/devicelogin хуудас. Энэ кодыг бичвэл халдагчид үндсэн кодыг өгнө Refresh Token (PRT / Multi-Resource Refresh Token) уугуул Microsoft Office, Azure CLI эсвэл Apple Internet Accounts үйлчлүүлэгчийн дүрд хувирсан.
3. ** Хортой OAuth програмыг хүчингүй болгосны дараа шууд имэйлээ шалгана уу Forwarding Rules, Inbox Filters, ба Delegated Mailbox Access Graph/Gmail UI-ээр дамжуулан.** Хортой OAuth програмын хамгийн түрүүнд хийдэг зүйл юу вэ? 500 milliseconds дарсны дараа Allow? Энэ нь ашигладаг Mail.ReadWrite эсвэл MailboxSettings.ReadWrite Ирж буй банк, крипто эсвэл нууц үг шинэчлэх бүрийг халдагчид руу автоматаар дамжуулж, хариуг шууд чиглүүлдэг сервер талын ирсэн имэйл хайрцагны дүрмийг нэвтрүүлэх API хамрах хүрээ. Trash эсвэл RSS Feeds хавтас (харна уу Имэйл хаягийг хакердсан: дамжуулах дүрэм ба сэргээх).
4. ** Хортой OAuth програм нь хоёр дахь нөөц OAuth програм болох Хувийн хандалтын токеныг бүртгэсэн эсэхийг шалгана уу.PAT), SSH Түлхүүр эсвэл MFA арга нь захиргааны хамрах хүрээтэй байсан.** Microsoft Entra ID (Azure AD), GitHub болон Google Workspace-д апп-д лавлах эсвэл бүртгэлийн удирдлагын хамрах хүрээ (Application.ReadWrite.All, RoleManagement.ReadWrite.Directory, эсвэл GitHub admin:public_key) нь хоёр дахь далд API токен эсвэл үйлчилгээний зарчмыг чимээгүйхэн үүсгэх боломжтой тул таныг эхний програмыг устгасны дараа халдагчид хандах эрхээ хадгалж үлдэх болно.
5. Хэрэв энэ нь компани эсвэл сургуульд тохиолдсон бол Microsoft 365 эсвэл Google Workspace Хэрэглэгчийн бүртгэлд 5 минутын дотор IT Security / SOC Helpdesk рүү залгана уу. Ганц ажилтан дарна Accept OAuth фишингийн линк дээр халдагчдад компанийн бүхэл бүтэн SharePoint, OneDrive, Багийн чатууд болон Глобал хаягийн жагсаалт руу унших эрхийг олгож, дотоод Бизнесийн Имэйл Буруулалт (BEC) таны хамтран ажиллагсад болон үйлчлүүлэгчид рүү залилан мэхлэх халдлага.
6. Хэрэв халдагч таны үүлэн драйвуудыг үзэхийн тулд OAuth хандалтыг ашигласан бол (Google Drive / OneDrive), татварын тайлан, нууц үг экспорт эсвэл санхүүгийн тайлан зэрэгт зээлийн файлуудаа царцааж, санхүүгийн дансуудаа түгжинэ үү. Хэрэв хувийн мэдээллийг баталгаажуулах бичиг баримтууд эсвэл шифрлэгдээгүй үндсэн хэллэгүүд/нууц үгүүд нь OAuth програмын хандсан клоуд драйвд хадгалагдсан бол тухайн драйв дахь файл бүрийг халдагч татсан гэж үзнэ (харна уу). Өгөгдлийн зөрчлийн хариу болон нууц үг алдагдсан).

flowchart TD
    A["Нууц үг дахин тохируулсны дараа OAuth зөвшөөрлийн фишинг эсвэл байнгын бүртгэлд халдсан гэж сэжиглэж байна"] --> B["1. Гуравдагч талын програмын зөвшөөрлийн порталыг нээх (Google холболтууд / Microsoft MyApps / GitHub програмууд)"]
    B --> C["2. Нотлох баримтыг олж мэдэхийн тулд танил бус програмуудын дэлгэцийн зургийг аваад, сэжигтэй OAuth програм болгон дээр 'Хандалтыг хүчингүй болгох / устгах' дээр дарна уу."]
    C --> D{"Та төхөөрөмжид нэвтрэх хуудсанд (жишээ нь, microsoft.com/devicelogin) код оруулсан уу?"}
    D -->|"Тийм: Төхөөрөмжийн код фишинг (RFC 8628)"| E["Төрөлхийн CLI / Төхөөрөмжийн кодын сешнүүдийг устгахын тулд 'Хаана ч байсан Гарах / Бүх Сэргээх Токенуудыг хүчингүй болгох'-ыг ажиллуулна уу."]
    D -->|"Үгүй: Стандарт Web OAuth Grant"| E
    E --> F["3. API токеноор үүсгэсэн хоёрдогч арын хаалгануудыг аудит, устгах"]
    F --> G["Имэйл ирсэн хайрцагны дүрэм, автомат дамжуулалт, эрх олгогдсон хандалтыг шалгана уу (Gmail / Outlook)"]
    F --> H["Хөгжүүлэгчийн хувийн хандалтын токен (PAT), SSH түлхүүр, вэб дэгээ интеграцийг шалгана уу"]
    F --> I{"Энэ нь корпорацийн Microsoft 365 / Google Workspace бүртгэл байсан уу?"}
    I -->|"Тиймээ"| J["Enterprise Admin / SOC Entra ID / Workspace Admin дахь үйлчилгээний үндсэн тэтгэлэгийг цуцлахыг нэн даруй анхааруулаарай."]
    I -->|"Үгүй (Хувийн данс)"| K["Нууц үг солих + Гадаад харилцааны яамны төхөөрөмжүүдийг баталгаажуулах + Cloud Drive татаж авах үйл ажиллагааны бүртгэлийг шалгах"]

OAuth 2.0 Consent Phishing нь нууц үг болон 2FA (Техникийн анатоми) хэрхэн алгасдаг вэ?¶

Яагаад кибер гэмт хэргийн синдикатууд, үндэстний тагнуулын бүлгүүд байдаг вэ?Midnight Blizzard, Star Blizzard), мөн криптовалютын урсгагчид уламжлалт хуурамч нэвтрэх фишингээс OAuth Consent Phishing болон Device Code Phishing руу ихээхэн шилжсэн үү?

1. Уламжлалт фишинг ба OAuth зөвшөөрлийн фишинг ба төхөөрөмжийн код фишинг¶

2. Өндөр аюултай OAuth зөвшөөрлийн хамрах хүрээ халдагчдын хүсэлт¶

Өөрийн зөвшөөрлийн жагсаалтад байгаа програмыг шалгахдаа түүний хүссэн хамрах хүрээг сайтар харна уу: * Microsoft Graph (Entra ID / Microsoft 365 / Outlook.com): * Mail.Read, Mail.ReadWrite, Mail.Send, MailboxSettings.ReadWrite (Бүх имэйлийг унших, таны нэрээр имэйл илгээх, далд ирсэн имэйлийг дамжуулах дүрмийг бий болгох боломжтой). * Files.Read.All, Files.ReadWrite.All, Sites.ReadWrite.All (Таны OneDrive дахь файл бүр болон хуваалцсан SharePoint хавтас бүрийг татаж авахыг зөвшөөрдөг). * offline_access (Таны компьютер унтарсан байсан ч халдагчийн серверт 24/7 цагийн турш цоо шинэ Access Tokens-ийг чимээгүйхэн оруулах боломжийг олгоно). * Directory.ReadWrite.All, AppRoleAssignment.ReadWrite.All, User.ReadWrite.All (Аж ахуйн нэгжийн давуу эрхийг нэмэгдүүлэх хамрах хүрээ). * Google Workspace / Хувийн Gmail (Google APIs): * https://mail.google.com/ эсвэл gmail.modify / gmail.settings.basic / gmail.settings.sharing (Gmail унших, устгах, дамжуулах бүрэн хяналт). * https://www.googleapis.com/auth/drive (Таны Google Драйв дахь файл бүрийг унших/бичих/татаж авах бүрэн эрх). * https://www.googleapis.com/auth/cloud-platform (Google Cloud дэд бүтэц, тооцоог бүрэн хянах). * GitHub ба хөгжүүлэгчийн экосистем (GitHub Apps / OAuth Apps): * repo болон workflow (Бүх хувийн эх кодын агуулах руу бүрэн унших/бичих эрх, хорлонтой GitHub Actions CI/CD нууцыг хулгайлах дамжуулах хоолой оруулах зөвшөөрөл). * admin:org, admin:public_key, ба admin:gpg_key (Байнгын арын хаалганы SSH түлхүүр нэмэх эсвэл байгууллагын гишүүнчлэлийг өөрчлөх зөвшөөрөл). * Slack & Discord OAuth Scopes: * Сул channels:history, groups:history, im:history, files:read, ба chat:write (Гадны аппликейшн нь бүх хувийн багийн шууд мессежийг унших, байршуулсан PDF болон итгэмжлэлийг хусах, итгэмжлэгдсэн хамтрагч гэдгээ харуулсан фишинг холбоосыг илгээх боломжтой). * Зөрчилдөөн guilds.join болон identify (Эвдэрсэн бот эсвэл баталгаажуулалтын портал нь таны зөвшөөрөлгүйгээр таны Discord бүртгэлийг залилан хийх серверт дахин дахин оруулахыг зөвшөөрдөг).

1-р үе шат: Бүх томоохон платформд зориулсан OAuth болон гуравдагч талын програмыг алхам алхмаар хүчингүй болгох¶

Сэжигтэй холбоос дээр дарсан, "Google/Microsoft/Apple/GitHub/Discord"-ыг ашиглан итгэмжгүй сайтад нэвтэрсэн эсвэл зөвшөөрөлгүй үйлдлийг анзаарсан бүртгэл бүрт доорх алхмуудыг дагана уу.

1. Google бүртгэл (Personal Gmail & Google Workspace)¶

1. Хөтөч нээгээд шууд очно уу: https://myaccount.google.com/connections (эсвэл очих myaccount.google.com -> зүүн цэсний Аюулгүй байдал гэснийг товшино уу -> Таны гуравдагч талын програм, үйлчилгээнд хийсэн холболт руу гүйлгээд -> Бүх холболтыг харах дээр дарна уу).
2. Эрсдэлээр шүүх: Дээд талд байгаа шүүлтүүр чип дээр дарна уу Access to your Google Account (энэ нь зөвхөн "Google-ээр нэвтрэх" гэсэн хор хөнөөлгүй нэвтрэх мэдээллийг шүүж, таны Gmail, Google Драйв, Хуанли эсвэл Харилцагчдыг унших идэвхтэй API зөвшөөрөлтэй програмуудыг тодруулдаг).
3. Танихгүй, сэжигтэй эсвэл ашиглахаа больсон програм болгон дээр дарна уу (системийн хэрэгслүүдийг дуурайдаг хуурамч нэрээс болгоомжил. "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," эсвэл "Drive Backup").
4. Дэлгэрэнгүйг харах руу доош гүйлгээд яг огноо, цагийн хандалт, ямар хамрах хүрээг (Gmail, Google Drive) барьж байна.
5. ** дарна ууDelete all connections you have with [App Name]** -> Баталгаажуулах дээр дарна уу.
6. Мөн төхөөрөмжийн идэвхтэй сешнүүдийг цуцална уу (Төхөөрөмжийн кодын фишингийн хувьд): ** руу очно ууhttps://myaccount.google.com/device-activity** мөн ямар ч танихгүй Linux, Windows, Mac, эсвэл Smart TV төхөөрөмжийн сешнээс гарна уу.

2. Microsoft Personal (Outlook.com / Hotmail / Live / Xbox) Корпорацийн эсрэг (Microsoft 365 / Entra ID)¶

Майкрософт таны бүртгэл хувийн хэрэглэгчийн бүртгэл эсвэл ажил/сургуулийн бүртгэл эсэхээс хамаарч хоёр өөр портал ашигладаг.

A. Хувийн Microsoft бүртгэл (@outlook.com, @hotmail.com, @live.com)¶

1. Шууд очих: https://account.live.com/consent/Manage (эсвэл очих account.microsoft.com/privacy -> Таны өгөгдөлд хандах боломжтой програмууд болон үйлчилгээнүүд).
2. Жагсаалтад орсон програм бүрийг шалгана уу. Хэрэв та танихгүй ямар нэг програмыг (эсвэл хууль ёсны үйлчлүүлэгч гэх мэт) харвал eM Client, Thunderbird, эсвэл Mail App IMAP/Graph OAuth жетон авахын тулд халдагчдын ашигладаг нийтлэг заль мэх) та өөрөө хэзээ ч суулгаагүй) дээр дарна уу Edit тэр програмын доор товшоод Remove these permissions.
3. Дараа нь ** руу очно ууhttps://account.microsoft.com/security** -> Намайг хэрхэн нэвтрэхийг удирдах -> доош гүйлгээд ** дарна ууSign me out** (энэ нь 24 цагийн дотор бүх хөтөч, програм, Xbox/OneDrive сессийг дэлхий даяар хүчингүй болгоход хүргэдэг).

B. Байгууллага / Ажил / Сургууль Microsoft 365 & Microsoft Entra ID (Azure AD)¶

1. Хувийн ажилтан хэрэглэгчийн хувьд:
2. ** руу очихhttps://myapps.microsoft.com** -> Өөрийн профайлын дүрс эсвэл арааны дүрс дээр дарна уу -> Profile дээр дарна уу эсвэл гурван цэг дээр дарна уу (...) ямар ч үл мэдэгдэх програмын хавтан дээр -> Өөрийн програмыг удирдах -> Зөвшөөрлийг хүчингүй болгох-г сонгоно уу.
3. Мөн ** руу очно ууhttps://myaccount.microsoft.com** -> Аюулгүй байдлын мэдээлэл -> ямар ч хуурамч Authenticator програм нэмээгүй эсэхийг шалгаад ** дээр дарна уу.Sign out everywhere** Тойм табын доор.
4. Microsoft 365 / Entra ID администраторын хувьд (Яаралтай тусламжийн PowerShell токен ба Зөвшөөрлийн цэвэрлэгээ): Ажилтан нь аж ахуйн нэгжийн түрээслэгчийн OAuth Consent Phishing эсвэл Device Code Phishing-д унасан тохиолдолд хэрэглэгчийн MyApps порталаас програмыг устгахад хангалттай биш; админ нь хүчингүй болгох ёстой OAuth2PermissionGrant түрээслэгч даяар, хэрэглэгчийн хүчингүй RefreshTokensValidFromDateTime Microsoft Graph PowerShell-ээр дамжуулан:

# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

3. GitHub, Slack, Discord, Apple (Sign in with Apple), болон X / Нийгмийн данс¶

Халдагчид OAuth фишинг ашиглан хөгжүүлэгчид, олон нийтийн болон нийгмийн дансуудыг онилдог бөгөөд энэ нь хорлонтой кодын үйлдлийг түлхэж, Discord нийгэмлэгүүдийг устгах эсвэл криптовалютын drainer холбоосыг нийтлэх болно.

2-р үе шат: Хорлонтой OAuth програмын үлдээсэн хоёрдогч тогтвортой байдлыг хайж олох¶

1. Имэйл ирсэн хайрцагны дүрэм, автомат дамжуулагч, далд шүүрдэх дүрэм (Gmail & Outlook / M365)¶

Хэрэв хортой OAuth програм байсан бол Mail.ReadWrite эсвэл MailboxSettings.ReadWrite зөвшөөрөл: * Gmail дээр: Араа дүрс (баруун дээд) -> Бүх тохиргоог харна уу. 1. ** дээр дарна ууForwarding and POP/IMAP** таб -> Үүнийг баталгаажуулна уу Forwarding ** Дамжуулалтыг идэвхгүй болгох** гэж тохируулсан бөгөөд танихгүй имэйл хаягийг жагсаасангүй. 2. ** дээр дарна ууFilters and Blocked Addresses** таб -> Тохирох шүүлтүүрийг хай from:(*) эсвэл гэх мэт түлхүүр үгс bank, wire, invoice, coinbase, password, эсвэл security үйлдлээр Delete it, Skip the Inbox (Archive it), эсвэл Forward it to -> Эдгээр шүүлтүүрийг нэн даруй устгана уу. 3. ** дээр дарна ууAccounts and Import** таб -> Өөрийн бүртгэлд хандах эрх олгох (Төлөөлөгдсөн хандалт) болон Мэйлийг өөр нэрээр илгээх гэсэн хэсэгт танихгүй хаягийг устгана уу. * Microsoft Outlook Web дээр (outlook.office.com эсвэл outlook.live.com): Араа дүрс (баруун дээд) -> Мэйл дээр дарна уу. 1. ** дарна ууRules** -> Танихгүй дүрэм бүрийг устга (халдагчид ихэвчлэн хорлонтой дүрмийг нэрлэдэг . эсвэл ... эсвэл Security Sync болон ирж буй имэйлийг хаяг руу зөөхөөр тохируулна уу RSS Subscriptions эсвэл Conversation History фолдерыг уншсан гэж тэмдэглэх үед). 2. ** дарна ууForwarding** (болон Junk email) -> Дамжуулахыг идэвхжүүлэх-г сонгоогүй эсэхийг шалгаад Аюулгүй илгээгч болон домэйн жагсаалтад нэмэгдсэн халдагч домэйныг устгана уу.

2. Cloud Drive Mass-Татаж авах Аудит ба "Холбоос Хуваалцах" Арын Хаалга (Google Drive & OneDrive / SharePoint)¶

OAuth програмтай болмогц Files.ReadWrite.All эсвэл drive хамрах хүрээ, энэ нь хоёр зүйлийг хийдэг: нэгдүгээрт, энэ нь таны эмзэг PDF, хүснэгт болон нууц үгийн файлуудыг татаж авдаг; Хоёрдугаарт, энэ нь таны нууц фолдеруудын хуваалцах зөвшөөрлийг ** болгож чимээгүйхэн өөрчлөх боломжтой."Anyone with the link can view/edit"** Тиймээс халдагч таныг OAuth програмыг хүчингүй болгосны дараа ч эдгээр фолдеруудыг нэргүй хөтөч дээр нээх боломжтой. * Google Драйв дээр: ** дээр дарна уу.(i) Сүүлийн 7 хоногт үзсэн, өөрчилсөн, хуваалцсан файл бүрийг харахын тулд баруун дээд буланд байрлах "Дэлгэрэнгүй мэдээллийг (Үйл ажиллагаа)" дүрс тэмдгийг** харна уу. Дараа нь бичнэ үү is:unorganized, sharedwith:public, эсвэл sharedwith:external Google Драйвын дээд хэсэгт байрлах хайлтын талбарт халдагчийн олон нийтэд нээлттэй болгосон файл, фолдерыг олоорой. * Microsoft OneDrive-д: Зүүн талын цэсний Хуваалцсан -> Хуваалцсан таб руу орж, нийтийн холбоосыг цуцална уу (Anyone with the link) та бүтээгээгүй.

3. Google Apps Script (script.google.com) & Microsoft Power Automate (make.powerautomate.com) Өдөөгч¶

Энэ бол Google болон Microsoft 365 хэрэглэгчдийн эсрэг ашигладаг тууштай арга юм: халдагчид таны бүртгэлд байх үед 10 мөртэй Google Apps Script (-д) үүсгэдэг.https://script.google.com/home/triggers) эсвэл Microsoft Power Automate Cloud Flow (-д)https://make.powerautomate.com) 5 минутын таймер дээр ажиллахаар тохируулсан (Time-driven trigger эсвэл When a new email arrives). Энэ скрипт нь таны клоуд акаунт дотор ажилладаг тул нууц үгээ сольж, гадны програмуудыг устгасан ч гэсэн 5 минут тутамд таны имэйлийг гадагшлуулдаг. * Нээлттэй https://script.google.com/home/triggers (Google-д зориулсан) эсвэл https://make.powerautomate.com -> My flows (Microsoft 365-ын хувьд) яг одоо өөрийн биеэр бичээгүй скрипт эсвэл автоматжуулсан урсгалыг устгана уу.

4. Өгөгдлийн шүүлтийн үүлэн аудитын бүртгэлд аудит хийх (Google Takeout, Entra Sign-In Logs, & Unified Audit Log)¶

Токен идэвхтэй байх үед хортой OAuth аппликешн яг ямар имэйл эсвэл файлуудыг уншиж, татаж байсныг мэдэх шаардлагатай бол: * Хувийн Google Бүртгэл дээр: Нээлттэй https://myactivity.google.com ба https://myaccount.google.com/notifications сүүлийн үеийн аюулгүй байдлын үйл явдлуудыг шалгаж, Google Takeout архивын экспортыг хүссэн эсэхийг шалгах. * Google Workspace (Админ консол) дээр: ** руу очно ууadmin.google.com -> Reporting -> Audit and investigation -> OAuth log events** ба Drive log events алдагдсан хэрэглэгч болон хорлонтой хүнээр шүүсэн Client ID хандсан файлын ID бүрийн бүрэн цагийн тэмдэглэгээтэй жагсаалтыг авах. * Microsoft 365 дээр (Purview / Entra ID): Нээлттэй entra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, ** дээр дарна ууNon-interactive user sign-ins** ба Service principal sign-ins таб (стандарт интерактив нэвтрэлтийн бүртгэлүүд нь арын OAuth токен сэргээлтийг харуулахгүй) ба хорлонтойгоор шүүх Application ID Халдагчийн хийсэн IP хаяг болон нөөцийн дуудлага бүрийг харах.

5. Таны Cloud Drive эсвэл Имэйл дотроос илэрсэн нууцуудыг эргүүлэх¶

Хэрэв хортой OAuth програм нь таны Gmail, Outlook, Google Drive, OneDrive, эсвэл GitHub репозиторууд руу 60 секундын турш нэвтрэх эрхтэй байсан бол халдагч таны шуудангийн хайрцаг болон хөтөч дээр автомат регекс хусагч ажиллуулсан гэж бодъё: 1. Криптовалютын үрийн хэллэг (12/24-word BIP-39 mnemonics) эсвэл Wallet .json Түлхүүр хадгалалт: Хэрэв таны клоуд драйв эсвэл имэйлд крипто үрийн өгүүлбэр агуулсан зураг эсвэл баримт бичиг байсан бол бүх хөрөнгийг нэн даруй цоо шинэ техник хангамжийн хэтэвч рүү шилжүүлээрэй (харна уу). Cryptocurrency хэтэвч drain болон үрийн хэллэг буулт). 2. ** Экспортолсон нууц үгийн менежер .csv Файл эсвэл татварын тайлан (Form 1040 / W-2):** Нууц үгээ эргүүлж, зээлийн товчоогоо царцаана уу (Equifax, Experian, TransUnion) нэн даруй. 3. Хөгжүүлэгчийн API түлхүүрүүд (AWS_SECRET_ACCESS_KEY, Stripe, OpenAI, GitHub PATs, .env файлууд): Өөрийн имэйл, Slack мессеж эсвэл үүлэн баримт бичигт гарч ирсэн үүлэн дэд бүтцийн бүх нууцыг хүчингүй болгож, шилжүүлээрэй.

Урьдчилан сэргийлэх хяналтын хуудас: OAuth & Device Code фишинг бүрмөсөн зогсоох¶

• Гадны програмыг хэзээ ч бүрэн бүү өг Read/Write Email эсвэл Full Cloud Drive Зөвхөн нэг PDF, хуанлийн урилга эсвэл хэрэгслийг үзэх зөвшөөрөл: Хууль ёсны баримт үзэх холбоос нь "Gmail-с таны бүх имэйлийг унших, бичих, илгээх, бүрмөсөн устгах" зөвшөөрөл шаарддаггүй. Хэрэв гэнэтийн OAuth зөвшөөрлийн дэлгэц өргөн шуудангийн хайрцаг эсвэл драйвын хамрах хүрээг асуувал табыг нэн даруй хаа.
• ** Хэзээ ч бүү бич Device Login Code (microsoft.com/devicelogin эсвэл google.com/device) өөр хүн танд имэйл, мессеж эсвэл чатаар илгээсэн:** Төхөөрөмжийн кодууд (RFC 8628) нь нэг өрөөнд таны урд сууж буй техник хангамжийн дэлгэцэд зориулагдсан (таны зочны өрөөний Apple TV эсвэл өөрийн SSH терминал гэх мэт). Хэрэв өөр хэн нэгэн төхөөрөмжийн код үүсгэж, түүнийгээ оруулахыг хүсэх юм бол та тэдний компьютерийг таны данс руугаа нэвтэрч байна гэсэн үг.
• Microsoft 365 / Google Workspace админуудын хувьд: Эцсийн хэрэглэгчийн OAuth програмын зөвшөөрлийг идэвхгүй болгож, нөхцөлт хандалтаар төхөөрөмжийн кодын урсгалыг блоклох:
• Microsoft Entra Admin Center-д (entra.microsoft.com) -> Identity -> Applications -> Enterprise application -> Зөвшөөрөл ба зөвшөөрөл -> Хэрэглэгчийн зөвшөөрлийн тохиргоо, Апп-д хэрэглэгчийн зөвшөөрлийг зөвшөөрөх гэснийг ** руу шилжүүлнэ үү.Do not allow user consent** (мөн Админы зөвшөөрлийн ажлын урсгалыг идэвхжүүлснээр ажилтнууд хуурамч апп-д хандах эрх олгохын оронд "Зөвшөөрөл хүсэх" дээр дарна уу).
• Google Workspace админ консол дээр (admin.google.com) -> Аюулгүй байдал -> Хандалт ба өгөгдлийн хяналт -> API удирдлага -> Гуравдагч талын програмын хандалтыг удирдах, эрсдэл өндөртэй хүрээг тохируулах (Gmail, Drive) руу Trusted: Can only access Google data if explicitly allowlisted by an admin.
• -г хориглох Entra ID-н нөхцөлт хандалтын бодлогыг үүсгэнэ үү.Device Code Flow бүх хөгжүүлэгч бус хэрэглэгчдэд зориулсан баталгаажуулалтыг дамжуулах арга.

Байнга асуудаг асуултууд¶

Нууц үгээ сольж, хоёр хүчин зүйлийн баталгаажуулалтыг (2FA) асаасан нь яагаад хортой OAuth програмыг устгаагүй юм бэ?¶

Нууц үг болон хоёр хүчин зүйлийн баталгаажуулалт нь хүн нэвтрэх дэлгэцээр нэвтэрсэн үед л урд хаалгыг хамгаалдаг. Та дарахад `Allow` OAuth 2.0 зөвшөөрлийн сануулга дээр та Google, Microsoft, GitHub эсвэл Discord-д криптограф гаргахыг даалгана. `Refresh Token` гуравдагч талын програмын сервер рүү шууд оруулснаар таныг офлайн байх үед програм нь далд ажиллах боломжтой. Архитектурын дизайны хувьд олон платформууд гуравдагч этгээдийн зөвшөөрөгдсөн интеграцчлалыг (календарийн синк хийх хэрэгсэл, нөөцлөх үйлчилгээ эсвэл CRM холбогч гэх мэт) та гуравдагч этгээдийн програмын холболтын хуудас руу шууд орж, **Хандалтыг цуцлах / Устгах** дээр дарахгүй л бол ердийн нууц үгийн эргэлтийг үргэлжлүүлэх боломжийг олгодог.

OAuth фишинг холбоос хэрхэн харуулах вэ? accounts.google.com эсвэл login.microsoftonline.com Хэрэв энэ нь луйвар байсан бол жинхэнэ HTTPS цоожтой юу?¶

OAuth Consent Phishing халдлагад гэмт хэрэгтэн хуурамч вэбсайт үүсгэдэггүй; оронд нь тэд Google Cloud эсвэл Microsoft Azure доторх үнэгүй хөгжүүлэгчийн програмыг бүртгэж (энэ нь 2 минут зарцуулдаг) бөгөөд тэдний апп-ыг агуулсан жинхэнэ Google эсвэл Microsoft-ын зөвшөөрлийн холбоосыг илгээдэг. `client_id`. Та Google эсвэл Microsoft-ын жинхэнэ нэвтрэх серверт зочилж байгаа тул домэйн нэр болон SSL сертификат нь 100 хувь жинхэнэ юм. Хууран мэхлэлт нь **гуравдагч этгээдийн програмын нэрийг хэн эзэмшдэг вэ**-д нэвтэрсний дараа зөвшөөрөл авахыг хүсч байна; дарж байна `Allow` таны мэдээллийг гэмт хэрэгтний бүртгэлтэй хөгжүүлэгч програм руу шилжүүлэхийг жинхэнэ Google эсвэл Microsoft серверт хэлдэг.

"Төхөөрөмжийн код фишинг" гэж юу вэ (microsoft.com/devicelogin), яагаад ийм аюултай вэ?¶

OAuth 2.0 төхөөрөмжийн зөвшөөрлийн тэтгэлэг (`RFC 8628`) нь ухаалаг ТВ эсвэл командын мөрийн интерфейс (CLI) зэрэг вэб хөтөч, гаргүй төхөөрөмжүүдэд нэвтрэх боломжтой байхаар үүсгэгдсэн: ТВ нь 8 тэмдэгтээс бүрдэх кодыг харуулж, нээхийг танд хэлэх болно. `microsoft.com/devicelogin` утсан дээрээ очоод кодыг оруулна уу. Төхөөрөмжийн кодын фишинг халдлагад хакер скрипт ажиллуулдаг (`TokenTactics` эсвэл `RoadTools`) компьютер дээрээ шинэ 8 тэмдэгттэй код үүсгэж, дараа нь Teams/Slack дээрх имэйл эсвэл мессежийг илгээнэ үү. `microsoft.com/devicelogin` Аюулгүй баримт бичгийг үзэх эсвэл бүртгэлээ баталгаажуулах. Таныг Майкрософт компанийн жинхэнэ сайт дээр тэдний кодыг хоёр дахь удаагаа бичихэд Microsoft хакерын компьютерийг шууд таны бүртгэлд нэвтэрч, Олон хүчин зүйлийн баталгаажуулалтын нэхэмжлэлийг бүрэн хангасан байна.

Хэрэв гарч ирэх цонхонд зөвхөн миний нэр, имэйл хаягийг асуувал "Google-ээр нэвтрэх" эсвэл "Apple-ээр нэвтрэх" стандарт аюултай юу?¶

Стандарт OpenID холболт (`OIDC`) "Google/Apple/Microsoft-оор нэвтэрнэ үү" нь **зөвхөн** таны үндсэн профайлыг (`Name`, `Email address`, ба `Profile picture`) нь шинэ вэб сайтад нууц үг оруулахаас хамаагүй аюулгүй, учир нь гуравдагч этгээдийн вэб сайт таны нууц үгийг хэзээ ч харахгүй бөгөөд таны имэйл эсвэл файл руу нэвтрэх эрхгүй болно. Зөвшөөрлийн цонхон дээр *"Таны бүх имэйлийг унших, бичих, илгээх, бүрмөсөн устгах"* *"Google Драйвын бүх файлыг харах, засах, үүсгэх, устгах"* эсвэл *"Таны төлөө серверт нэгдэх" гэх мэт **эмзэгтэй API-н нэмэлт хамрах хүрээг шаардах үед л аюул үүсдэг.

Холбогдох хөтөч¶

• MFA фишинг болон Дундад дайсан (AiTM)-ийг тойрч гарах
• Сеанс күүки хулгайлах, мэдээлэл хулгайлагч хортой программ хангамж, нэвтрэх түлхүүрийг хүчингүй болгох
• Имэйл хаягийг хакердсан: дамжуулах дүрэм ба сэргээх
• Корпорацийн Бизнесийн Имэйл Буруулалт (BEC) болон утсан залилан мэхлэх
• Хортой хөтчийн өргөтгөлүүд, санах ой хулгайлагч, зар сурталчилгааны програмыг устгах
• Дэлхийн яаралтай тусламжийн дугаар

Эх сурвалжуудыг шалгасан¶

• Кибер аюулгүй байдал, дэд бүтцийн аюулгүй байдлын агентлаг (CISA) ба Холбооны мөрдөх товчоо (ХМТ) (Америкийн Нэгдсэн Улс): Хууль бус OAuth зөвшөөрлийн тэтгэлэг, Төхөөрөмжийн код фишинг хийх талаар Кибер аюулгүй байдлын хамтарсан зөвлөгөөRFC 8628), болон Cloud Identity Token хулгай.
• Интернэтийн инженерийн ажлын хэсэг (IETF) (Олон улсын): RFC 6749 (OAuth 2.0 зөвшөөрлийн хүрээ), RFC 7009 (OAuth 2.0 токеныг хүчингүй болгох), RFC 8628 (OAuth 2.0 төхөөрөмжийн зөвшөөрлийг олгох аюулгүй байдлын асуудал).
• Microsoft Threat Intelligence & Microsoft Entra Security Engineering (Олон улсын): * Хортой OAuth програмуудад зориулсан ослын хариу арга хэмжээний ном (OAuth2PermissionGrant) болон Microsoft Entra ID* дахь төхөөрөмжийн кодын фишинг.
• Google Cloud & Google Workspace аюулгүй байдал (Олон улсын): OAuth 2.0 API хамрах хүрээний баталгаажуулалт, гуравдагч этгээдийн аппликешнд нэвтрэх засаглал, токеныг хүчингүй болгох архитектур.
• Үндэсний кибер аюулгүй байдлын төв (NCSC) (Их Британи): OAuth зөвшөөрлийн фишинг болон Төлөөлөгчдийн API хүчирхийллээс үүдэн түрээслэгчдийг хамгаалах заавар.